CISSP All in one Exam Guide

Title Page......Page 5
Copyright Page......Page 6
Dedication......Page 8
About the Authors......Page 9
Contents at a Glance......Page 10
Contents......Page 11
In Memory of Shon Harris......Page 30
Foreword......Page 32
From the Author......Page 33
Acknowledgments......Page 34
Why Become a CISSP?......Page 35
Chapter 1 Security and Risk Management......Page 41
Fundamental Principles of Security......Page 42
Availability......Page 43
Confidentiality......Page 44
Balanced Security......Page 45
Security Definitions......Page 46
Control Types......Page 48
Security Frameworks......Page 53
ISO/IEC 27000 Series......Page 55
Enterprise Architecture Development......Page 58
Security Controls Development......Page 70
Process Management Development......Page 75
Functionality vs. Security......Page 82
The Crux of Computer Crime Laws......Page 83
Complexities in Cybercrime......Page 85
The Evolution of Attacks......Page 87
International Issues......Page 91
Types of Legal Systems......Page 95
Intellectual Property Laws......Page 99
Trade Secret......Page 100
Trademark......Page 101
Patent......Page 102
Internal Protection of Intellectual Property......Page 104
Software Piracy......Page 105
Privacy......Page 107
The Increasing Need for Privacy Laws......Page 109
Laws, Directives, and Regulations......Page 110
Employee Privacy Issues......Page 117
Data Breaches......Page 119
U.S. Laws Pertaining to Data Breaches......Page 120
Policies, Standards, Baselines, Guidelines, and Procedures......Page 121
Security Policy......Page 122
Standards......Page 125
Baselines......Page 126
Guidelines......Page 127
Implementation......Page 128
Risk Management......Page 129
Information Systems Risk Management Policy......Page 130
The Risk Management Team......Page 131
Threat Modeling......Page 133
Threat Modeling Concepts......Page 134
Threat Modeling Methodologies......Page 136
Risk Assessment and Analysis......Page 138
Risk Assessment Team......Page 139
Costs That Make Up the Value......Page 140
Identifying Vulnerabilities and Threats......Page 141
Methodologies for Risk Assessment......Page 143
Risk Analysis Approaches......Page 148
Qualitative Risk Analysis......Page 151
Protection Mechanisms......Page 155
Total Risk vs. Residual Risk......Page 158
Handling Risk......Page 159
Supply Chain Risk Management......Page 160
Upstream and Downstream Suppliers......Page 162
Risk Management Frameworks......Page 163
Categorize Information System......Page 164
Implement Security Controls......Page 165
Monitor Security Controls......Page 166
Business Continuity and Disaster Recovery......Page 167
Standards and Best Practices......Page 170
Making BCM Part of the Enterprise Security Program......Page 172
BCP Project Components......Page 175
Personnel Security......Page 191
Hiring Practices......Page 192
Onboarding......Page 193
Security Awareness Training......Page 194
Degree or Certification?......Page 196
Security Governance......Page 197
Metrics......Page 199
The Computer Ethics Institute......Page 204
The Internet Architecture Board......Page 205
Summary......Page 207
Quick Tips......Page 208
Questions......Page 213
Answers......Page 220
Information Life Cycle......Page 225
Acquisition......Page 226
Archival......Page 227
Disposal......Page 228
Classification......Page 229
Classifications Levels......Page 230
Classification Controls......Page 234
Executive Management......Page 235
Data Owner......Page 239
Security Administrator......Page 240
User......Page 241
Retention Policies......Page 242
Developing a Retention Policy......Page 243
Data Processers......Page 246
Data Remanence......Page 247
Limits on Collection......Page 251
Data Security Controls......Page 252
Media Controls......Page 255
Protecting Mobile Devices......Page 261
Safes......Page 262
Data Leakage......Page 263
Data Leak Prevention......Page 264
Summary......Page 273
Quick Tips......Page 274
Questions......Page 275
Answers......Page 278
Chapter 3 Security Architecture and Engineering......Page 281
System Architecture......Page 282
The Central Processing Unit......Page 286
Multiprocessing......Page 291
Memory Types......Page 292
Process Management......Page 305
Memory Management......Page 315
Input/Output Device Management......Page 320
CPU Architecture Integration......Page 322
Operating System Architectures......Page 326
Virtual Machines......Page 332
System Security Architecture......Page 335
Security Policy......Page 336
Security Architecture Requirements......Page 337
Bell-LaPadula Model......Page 342
Biba Model......Page 343
Noninterference Model......Page 344
Brewer and Nash Model......Page 345
Harrison-Ruzzo-Ullman Model......Page 346
Common Criteria......Page 348
Certification......Page 353
Accreditation......Page 354
Open Systems......Page 355
Client-Based Systems......Page 356
Distributed Systems......Page 357
Cloud Computing......Page 358
Parallel Computing......Page 359
Database Systems......Page 360
Web-Based Systems......Page 362
Mobile Systems......Page 363
Cyber-Physical Systems......Page 365
Maintenance Hooks......Page 368
Time-of-Check/Time-of-Use Attacks......Page 369
The History of Cryptography......Page 371
Cryptography Definitions and Concepts......Page 376
The Strength of the Cryptosystem......Page 379
One-Time Pad......Page 380
Running and Concealment Ciphers......Page 383
Steganography......Page 384
Transposition Ciphers......Page 387
Methods of Encryption......Page 389
Symmetric Cryptography......Page 390
Block and Stream Ciphers......Page 395
Hybrid Encryption Methods......Page 400
Data Encryption Standard......Page 406
Triple-DES......Page 413
Advanced Encryption Standard......Page 414
Blowfish......Page 415
RC6......Page 416
Diffie-Hellman Algorithm......Page 417
RSA......Page 419
Elliptic Curve Cryptosystems......Page 422
Knapsack......Page 423
Zero Knowledge Proof......Page 424
The One-Way Hash......Page 425
Various Hashing Algorithms......Page 430
SHA......Page 431
Attacks Against One-Way Hash Functions......Page 432
Public Key Infrastructure......Page 433
Certificate Authorities......Page 434
The Registration Authority......Page 437
PKI Steps......Page 438
Applying Cryptography......Page 439
Services of Cryptosystems......Page 440
Digital Signatures......Page 441
Digital Signature Standard......Page 443
Key Management......Page 444
Trusted Platform Module......Page 447
Digital Rights Management......Page 449
Known-Plaintext Attacks......Page 450
Differential Cryptanalysis......Page 451
Side-Channel Attacks......Page 452
Algebraic Attacks......Page 453
Site and Facility Security......Page 454
The Site Planning Process......Page 456
Crime Prevention Through Environmental Design......Page 460
Designing a Physical Security Program......Page 466
Electric Power......Page 479
Environmental Issues......Page 484
Fire Prevention, Detection, and Suppression......Page 486
Summary......Page 493
Quick Tips......Page 494
Questions......Page 498
Answers......Page 506
Chapter 4 Communication and Network Security......Page 511
Principles of Network Architectures......Page 512
Open Systems Interconnection Reference Model......Page 513
Protocol......Page 514
Application Layer......Page 517
Presentation Layer......Page 518
Session Layer......Page 519
Transport Layer......Page 522
Network Layer......Page 523
Data Link Layer......Page 524
Physical Layer......Page 526
Functions and Protocols in the OSI Model......Page 527
Tying the Layers Together......Page 529
Multilayer Protocols......Page 530
TCP......Page 532
IP Addressing......Page 538
IPv6......Page 542
Layer 2 Security Standards......Page 545
Transmission Media......Page 547
Types of Transmission......Page 548
Cabling......Page 553
Wireless Networks......Page 558
Wireless Communications Techniques......Page 559
WLAN Components......Page 562
Evolution of WLAN Security......Page 564
Wireless Standards......Page 570
Satellites......Page 576
Mobile Wireless Communication......Page 577
Networking Foundations......Page 583
Network Topology......Page 584
Media Access Technologies......Page 586
Transmission Methods......Page 600
Address Resolution Protocol......Page 601
Dynamic Host Configuration Protocol......Page 603
Internet Control Message Protocol......Page 606
Simple Network Management Protocol......Page 608
Domain Name Service......Page 610
E-mail Services......Page 618
Network Address Translation......Page 624
Routing Protocols......Page 626
Bridges......Page 631
Routers......Page 634
Switches......Page 635
Gateways......Page 640
PBXs......Page 642
Firewalls......Page 646
Proxy Servers......Page 670
Content Distribution Networks......Page 673
Software Defined Networking......Page 674
Honeypot......Page 677
Network Access Control......Page 678
Virtualized Networks......Page 679
Intranets and Extranets......Page 680
Metropolitan Area Networks......Page 682
Metro Ethernet......Page 684
Wide Area Networks......Page 685
Telecommunications Evolution......Page 686
Dedicated Links......Page 688
WAN Technologies......Page 692
Communications Channels......Page 703
Multiservice Access Technologies......Page 704
H.323 Gateways......Page 706
Digging Deeper into SIP......Page 707
IP Telephony Issues......Page 710
Remote Access......Page 712
Dial-up Connections......Page 713
ISDN......Page 714
DSL......Page 716
VPN......Page 717
Authentication Protocols......Page 725
Link Encryption vs. End-to-End Encryption......Page 727
E-mail Encryption Standards......Page 730
Internet Security......Page 732
Denial of Service......Page 738
DNS Hijacking......Page 741
Summary......Page 742
Quick Tips......Page 743
Questions......Page 747
Answers......Page 754
Access Controls Overview......Page 760
Security Principles......Page 761
Confidentiality......Page 762
Identification, Authentication, Authorization, and Accountability......Page 763
Identification and Authentication......Page 765
Authentication Methods......Page 776
Authorization......Page 798
Accountability......Page 812
Federation......Page 817
On-premise......Page 829
Integration Issues......Page 831
Discretionary Access Control......Page 832
Mandatory Access Control......Page 834
Role-Based Access Control......Page 837
Attribute-Based Access Control......Page 840
Constrained User Interfaces......Page 841
Remote Access Control Technologies......Page 842
Access Control Matrix......Page 849
Content-Dependent Access Control......Page 850
Context-Dependent Access Control......Page 851
User Access Review......Page 852
Deprovisioning......Page 853
Access Control Layers......Page 854
Administrative Controls......Page 855
Physical Controls......Page 856
Technical Controls......Page 857
Access Control Practices......Page 860
Unauthorized Disclosure of Information......Page 861
Intrusion Detection Systems......Page 864
Intrusion Prevention Systems......Page 873
Threats to Access Control......Page 876
Brute-Force Attacks......Page 877
Phishing and Pharming......Page 878
Quick Tips......Page 882
Questions......Page 885
Answers......Page 893
Chapter 6 Security Assessment and Testing......Page 897
Assessment, Test, and Audit Strategies......Page 898
Internal Audits......Page 900
External Audits......Page 902
Third-Party Audits......Page 903
Auditing Technical Controls......Page 904
Vulnerability Testing......Page 905
Penetration Testing......Page 907
War Dialing......Page 913
Other Vulnerability Types......Page 914
Postmortem......Page 915
Log Reviews......Page 917
Synthetic Transactions......Page 920
Misuse Case Testing......Page 921
Code Reviews......Page 923
Interface Testing......Page 925
Account Management......Page 926
Backup Verification......Page 928
Disaster Recovery and Business Continuity......Page 931
Security Training and Security Awareness Training......Page 937
Key Performance and Risk Indicators......Page 942
Reporting......Page 944
Analyzing Results......Page 945
Writing Technical Reports......Page 946
Executive Summaries......Page 947
Management Review and Approval......Page 948
Reviewing Inputs......Page 949
Management Approval......Page 950
Quick Tips......Page 951
Questions......Page 953
Answers......Page 956
Chapter 7 Security Operations......Page 959
The Role of the Operations Department......Page 960
Administrative Management......Page 961
Security and Network Personnel......Page 963
Accountability......Page 964
Clipping Levels......Page 965
Physical Security......Page 966
Facility Access Control......Page 967
Personnel Access Controls......Page 976
External Boundary Protection Mechanisms......Page 977
Intrusion Detection Systems......Page 986
Patrol Force and Guards......Page 989
Internal Security Controls......Page 990
Asset Inventory......Page 991
Asset Management......Page 993
Configuration Management......Page 996
Trusted Recovery......Page 999
Input and Output Controls......Page 1001
System Hardening......Page 1003
Remote Access Security......Page 1005
Provisioning Cloud Assets......Page 1006
Network and Resource Availability......Page 1007
Mean Time to Repair......Page 1008
Single Points of Failure......Page 1009
Backups......Page 1017
Contingency Planning......Page 1020
Preventing and Detecting......Page 1021
Continuous Monitoring......Page 1022
Firewalls......Page 1023
Intrusion Detection and Prevention Systems......Page 1024
Antimalware......Page 1025
Vulnerability Management......Page 1026
Patch Management......Page 1029
Sandboxing......Page 1031
Honeypots and Honeynets......Page 1032
Egress Monitoring......Page 1033
Outsourced Services......Page 1034
The Incident Management Process......Page 1035
Response......Page 1040
Mitigation......Page 1041
Recovery......Page 1042
Investigations......Page 1043
Computer Forensics and Proper Collection of Evidence......Page 1044
Motive, Opportunity, and Means......Page 1046
Incident Investigators......Page 1047
Types of Investigations......Page 1048
The Forensic Investigation Process......Page 1050
What Is Admissible in Court?......Page 1056
Surveillance, Search, and Seizure......Page 1058
Disaster Recovery......Page 1059
Business Process Recovery......Page 1063
Recovery Site Strategies......Page 1064
Supply and Technology Recovery......Page 1071
Backup Storage Strategies......Page 1075
End-User Environment......Page 1085
Availability......Page 1086
Liability and Its Ramifications......Page 1088
Liability Scenarios......Page 1091
Contractual Agreements......Page 1093
Procurement and Vendor Processes......Page 1094
Insurance......Page 1095
Implementing Disaster Recovery......Page 1096
Personnel......Page 1097
Assessment......Page 1098
Restoration......Page 1099
Communications......Page 1100
Training......Page 1101
Emergency Management......Page 1102
Travel......Page 1103
Quick Tips......Page 1104
Questions......Page 1107
Answers......Page 1111
Building Good Code......Page 1115
Where Do We Place Security?......Page 1116
Different Environments Demand Different Security......Page 1118
Environment vs. Application......Page 1119
Implementation and Default Issues......Page 1120
Software Development Life Cycle......Page 1121
Project Management......Page 1122
Requirements Gathering Phase......Page 1123
Design Phase......Page 1124
Development Phase......Page 1128
Testing Phase......Page 1131
Operations and Maintenance Phase......Page 1133
Waterfall Methodology......Page 1135
V-Shaped Methodology......Page 1136
Prototyping......Page 1137
Incremental Methodology......Page 1138
Spiral Methodology......Page 1139
Rapid Application Development......Page 1140
Agile Methodologies......Page 1142
Integrated Product Team......Page 1145
DevOps......Page 1146
Capability Maturity Model Integration......Page 1147
Change Control......Page 1150
Security of Development Environments......Page 1151
Security of Code Repositories......Page 1152
Software Configuration Management......Page 1153
Source Code Vulnerabilities......Page 1154
Secure Coding Practices......Page 1155
Programming Languages and Concepts......Page 1156
Assemblers, Compilers, Interpreters......Page 1159
Object-Oriented Concepts......Page 1161
Other Software Development Concepts......Page 1169
Application Programming Interfaces......Page 1171
Distributed Computing Environment......Page 1172
CORBA and ORBs......Page 1173
COM and DCOM......Page 1176
Service-Oriented Architecture......Page 1178
Java Applets......Page 1182
ActiveX Controls......Page 1185
Specific Threats for Web Environments......Page 1187
Web Application Security Principles......Page 1194
Database Management......Page 1195
Database Management Software......Page 1196
Database Models......Page 1198
Database Programming Interfaces......Page 1203
Relational Database Components......Page 1205
Integrity......Page 1208
Database Security Issues......Page 1210
Data Warehousing and Data Mining......Page 1215
Malicious Software (Malware)......Page 1219
Viruses......Page 1221
Rootkit......Page 1224
Spyware and Adware......Page 1225
Botnets......Page 1226
Logic Bombs......Page 1227
Trojan Horses......Page 1228
Antimalware Software......Page 1229
Spam Detection......Page 1232
Antimalware Programs......Page 1234
Assessing the Security of Acquired Software......Page 1235
Quick Tips......Page 1236
Questions......Page 1240
Answers......Page 1246
Appendix A Comprehensive Questions......Page 1251
Answers......Page 1279
Single User License Terms and Conditions......Page 1295
TotalTester Online......Page 1296
Online Flash Cards......Page 1297
Single User License Terms and Conditions......Page 1298
Technical Support......Page 1299
Glossary......Page 1300
Index......Page 1318